{"id":1380,"date":"2026-09-22T16:26:03","date_gmt":"2026-09-22T13:26:03","guid":{"rendered":"https:\/\/www.styra.fi\/?page_id=1380"},"modified":"2026-10-07T12:13:07","modified_gmt":"2026-10-07T09:13:07","slug":"insights","status":"publish","type":"page","link":"https:\/\/www.styra.fi\/fi\/insights\/","title":{"rendered":"Insights"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t
\n
\n \t\t\t\"\"\/\t\t\n<\/div>\n
\n \t\t\t

Det jag har l\u00e4rt mig l\u00e4ngs v\u00e4gen<\/h2>\n\t\t\t\t\t

Under min karri\u00e4r har jag f\u00e5tt arbeta mitt emellan ledningen, verksamheten och tekniken. H\u00e4r delar jag mina tankar om vad som f\u00e5r f\u00f6r\u00e4ndringar att lyckas, varf\u00f6r tydligt \u00e4garskap spelar roll och hur komplexa krav kan g\u00f6ras begripliga och genomf\u00f6rbara. Ibland skriver jag ocks\u00e5 om f\u00f6retagandet och allt det l\u00e4r mig l\u00e4ngs v\u00e4gen.<\/p>\n\t\t\n<\/div>\n\n<\/div>\n\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t

\n\t\t\t\n\t\t\t\tHur bra m\u00e5ste cybers\u00e4kerheten egentligen vara? NIS2, proportionalitet och mindre f\u00f6retag\t\t\t<\/a>\n\t\t<\/h2>\n\t\t\t\t
\n\t\t\t\t\t\n\t\t\t03.11.2026\t\t<\/span>\n\t\t\t\t\n\t\t\tEi kommentteja\t\t<\/span>\n\t\t\t\t<\/div>\n\t\t\n

N\u00e4r man pratar om cybers\u00e4kerhet \u00e4r det l\u00e4tt att hamna i ytterligheter. <\/p>\n\n\n\n

I ena \u00e4nden finns stora organisationer med s\u00e4kerhetsteam, omfattande styrmodeller, tekniska s\u00e4kerhetsl\u00f6sningar, kontinuerliga granskningar och l\u00e5nga kontrollistor. I den andra finns mindre f\u00f6retag d\u00e4r IT kanske sk\u00f6ts av n\u00e5gra f\u00e5 personer eller tillsammans med en extern partner.<\/p>\n\n\n\n

\u00c4nd\u00e5 kan b\u00e5da omfattas av samma \u00f6vergripande regulatoriska krav.<\/p>\n\n\n\n

S\u00e5 betyder det att det mindre f\u00f6retaget ska f\u00f6rs\u00f6ka bygga samma s\u00e4kerhetsapparat som den stora koncernen?<\/p>\n\n\n\n

Nej. Men det betyder inte att kraven kan ignoreras.<\/strong><\/p>\n\n\n\n

NIS2 inneh\u00e5ller en viktig princip: proportionalitet<\/h3>\n\n\n\n

NIS2 kr\u00e4ver att organisationer som omfattas vidtar l\u00e4mpliga och proportionerliga tekniska, operativa och organisatoriska \u00e5tg\u00e4rder f\u00f6r att hantera cybers\u00e4kerhetsrisker.<\/p>\n\n\n\n

Vid bed\u00f6mningen av vad som \u00e4r proportionerligt ska bland annat organisationens storlek och riskexponering samt sannolikheten f\u00f6r och konsekvenserna av incidenter beaktas. \u00c4ven kostnaden f\u00f6r genomf\u00f6randet n\u00e4mns i artikel 21. [nis-2-directive.com]<\/a>, [eur-lex.europa.eu]<\/a><\/p>\n\n\n\n

Det \u00e4r en viktig sak. NIS2 s\u00e4ger allts\u00e5 inte att varje organisation ska bygga exakt samma s\u00e4kerhetsorganisation.<\/p>\n\n\n\n

D\u00e4remot finns centrala omr\u00e5den som beh\u00f6ver hanteras. Artikel 21 omfattar bland annat riskanalys och informationss\u00e4kerhet, incidenthantering, kontinuitet och krishantering, leverant\u00f6rskedjan, s\u00e4kerhet vid utveckling och underh\u00e5ll av system, bed\u00f6mning av s\u00e4kerhets\u00e5tg\u00e4rdernas effektivitet, cyberhygien och utbildning, kryptografi, \u00e5tkomstkontroll och anv\u00e4ndning av MFA d\u00e4r det \u00e4r l\u00e4mpligt. [nis-2-directive.com]<\/a><\/p>\n\n\n\n

Enklare beh\u00f6ver inte betyda s\u00e4mre<\/h3>\n\n\n\n

Det tycker jag \u00e4r en viktig po\u00e4ng, s\u00e4rskilt f\u00f6r mindre och medelstora f\u00f6retag. En process kan vara enkel och fortfarande fungera bra. Roller och ansvar kan beskrivas p\u00e5 n\u00e5gra sidor ist\u00e4llet f\u00f6r i en omfattande styrmodell. Riskhantering beh\u00f6ver inte inneb\u00e4ra ett dyrt GRC-system. Incidentberedskap beh\u00f6ver inte inneb\u00e4ra en tjock p\u00e4rm med processbeskrivningar.<\/p>\n\n\n\n

Men n\u00e5gon m\u00e5ste veta vad som ska h\u00e4nda n\u00e4r incidenten intr\u00e4ffar.<\/strong><\/p>\n\n\n\n

Det \u00e4r d\u00e4r jag tycker att diskussionen ibland hamnar snett. Vi b\u00f6rjar m\u00e4ta s\u00e4kerhet i antal dokument, kontroller och tekniska l\u00f6sningar ist\u00e4llet f\u00f6r att fr\u00e5ga om organisationen faktiskt kan hantera sina risker. <\/p>\n\n\n\n

Samtidigt \u00e4r ”vi \u00e4r sm\u00e5” aldrig ett frikort<\/h3>\n\n\n\n

Proportionalitet kan ocks\u00e5 misstolkas \u00e5t andra h\u00e5llet. Ett mindre f\u00f6retag kan ha en mycket kritisk verksamhet, k\u00e4nslig information eller stora beroenden av enskilda system och leverant\u00f6rer.<\/p>\n\n\n\n

Storleken \u00e4r bara en av faktorerna. NIS2 pekar ocks\u00e5 uttryckligen p\u00e5 riskexponering och p\u00e5 sannolikheten f\u00f6r och konsekvenserna av incidenter.<\/p>\n\n\n\n

Ett litet f\u00f6retag med stora risker kan d\u00e4rf\u00f6r beh\u00f6va mycket starka s\u00e4kerhets\u00e5tg\u00e4rder p\u00e5 vissa omr\u00e5den.<\/p>\n\n\n\n

Den viktiga fr\u00e5gan \u00e4r inte:<\/p>\n\n\n\n

Hur stora \u00e4r vi?<\/strong><\/p>\n\n\n\n

utan snarare:<\/p>\n\n\n\n

Vad kan h\u00e4nda, vad skulle konsekvensen bli f\u00f6r just v\u00e5rt bolag och vad beh\u00f6ver vi g\u00f6ra f\u00f6r att hantera risken?<\/strong><\/p>\n\n\n\n

Standarder \u00e4r hj\u00e4lpmedel, inte organisationens identitet<\/h3>\n\n\n\n

NIS2 s\u00e4ger ocks\u00e5 att relevant europeisk och internationell standardisering, d\u00e4r till\u00e4mpligt, ska beaktas n\u00e4r s\u00e4kerhetsniv\u00e5n best\u00e4ms. Standarder och etablerade ramverk kan d\u00e4rf\u00f6r ge struktur och hj\u00e4lpa en organisation att undvika blinda fl\u00e4ckar.<\/p>\n\n\n\n

Men det praktiska s\u00e4kerhetsarbetet b\u00f6rjar fortfarande med organisationens verklighet.<\/p>\n\n\n\n